Zákon č. 264/2025 Sb. nereguluje každou výrobu, jen vybrané obory, a střední a velké firmy v nich patří většinou do režimu nižších povinností. Níže najdete, kterých oborů se to týká, co po vás nižší režim chce a jak k tomu přistoupit ve výrobní síti.
Služby z přílohy vyhlášky 408/2025 Sb., které se týkají výroby, potravin, chemie, odpadů a zdravotnických prostředků. Režim určuje konkrétní služba a platí pravidlo jedna organizace, jeden režim.
| Služba | Režim | Podmínka |
|---|---|---|
| Výroba počítačů, elektronických a optických přístrojů (CZ-NACE 26) | Nižší | Střední nebo velký podnik |
| Výroba elektrických zařízení (CZ-NACE 27) | Nižší | Střední nebo velký podnik |
| Výroba strojů a zařízení (CZ-NACE 28) | Nižší | Střední nebo velký podnik |
| Sériová výroba osobních automobilů (CZ-NACE 29) | Vyšší | Bez podmínky velikosti |
| Ostatní výroba motorových vozidel, přívěsů, návěsů a dílů (CZ-NACE 29) | Nižší | Střední nebo velký podnik |
| Výroba ostatních dopravních prostředků (CZ-NACE 30) | Nižší | Střední nebo velký podnik |
| Průmyslová výroba a zpracování potravin, velkoobchodní distribuce potravin | Nižší | Střední nebo velký podnik |
| Výroba a uvádění na trh chemických látek a výroba předmětů podle REACH | Nižší | Střední nebo velký podnik |
| Objekt podle zákona o prevenci závažných havárií, skupina B | Vyšší | Střední nebo velký podnik |
| Objekt podle zákona o prevenci závažných havárií, skupina A | Nižší | Střední nebo velký podnik |
| Výroba zdravotnických prostředků a diagnostik in vitro | Nižší | Střední nebo velký podnik |
| Zařízení na nakládání s odpady (kromě skladu vlastních odpadů), obchod, zprostředkování a přeprava odpadů | Nižší | Střední nebo velký podnik a aspoň 5 % obratu z této služby |
Výroba humánních léčiv a léčivých látek a výroba zdravotnických prostředků ze seznamu kriticky důležitých patří u velkých podniků do režimu vyšších povinností, u středních do nižšího. Jiné obory, třeba kovovýroba nebo zpracování plastů, mezi regulovanými službami nejsou, pokud firma neposkytuje jinou službu z přílohy. Zařazení ověříte v příloze vyhlášky 408/2025 Sb. nebo v kalkulačce na portálu NÚKIB.
Povinnosti podle zákona a vyhlášky 410/2025 Sb. Pro režim vyšších povinností platí přísnější vyhláška 409/2025 Sb.; podrobnosti najdete na stránce o NIS2.
Přes portál NÚKIB do 60 dní od splnění kritérií. NÚKIB poté vydá rozhodnutí o registraci; do 30 dní od jeho doručení nahlásíte kontaktní a doplňující údaje.
Vrcholné vedení určí osobu pověřenou kybernetickou bezpečností, samo projde školením, zajistí potřebné zdroje a prokazatelně sleduje, jak se opatření plní.
13 opatření podle vyhlášky 410/2025 Sb., zavedených nejpozději do 1 roku od doručení rozhodnutí o registraci.
Stanovit prioritu a pořadí obnovy technických aktiv, určit odpovědné osoby a pravidelně zálohovat data i konfigurace.
Jen incidenty s významným dopadem a Národnímu CERT: prvotní hlášení do 24 hodin, oznámení do 72 hodin, závěrečná zpráva do 30 dnů od oznámení.
U dodavatelů, kteří dodávají do stanoveného rozsahu služby, posoudit jejich rizika a do smluv uvést požadavky z přílohy č. 2 vyhlášky 410/2025 Sb.
Zákon nerozlišuje IT a OT, mluví o aktivech, na kterých regulovaná služba stojí; ve výrobě to bývají i linky a řídicí systémy. Vyhláška 410/2025 Sb. i v nižším režimu výslovně chce segmentaci sítě, omezení vzdálených připojení a zálohy konfigurací a vyšší režim má pro průmyslová a řídicí aktiva samostatné opatření. Tady je naše doporučení, kde začít.
Do soupisu patří i řídicí systémy, operátorská pracoviště a síťové prvky výroby, se kterými služba stojí a padá.
Výrobní síť oddělená od kancelářské, s jasně danými přechody. Ransomware, který se dostane do kanceláře, se tak nedostane ke strojům.
Servisní přístupy výrobců strojů přes řízený, časově omezený a zaznamenaný kanál místo trvalých vzdálených připojení. Vyhláška chce vzdálená připojení omezit na nezbytně nutná a mít přehled o tom, kdo je používá.
Zálohy programů a konfigurací řídicích systémů, s ověřenou obnovou. Právě ty rozhodují o tom, jak rychle se výroba rozjede.
Dohled nad přechodem mezi kanceláří a výrobou, kde se útok obvykle přelévá. Incident s významným dopadem pak nahlásíte v zákonné lhůtě.
Opatření stavíme a provozujeme, ne jen popisujeme.
Návrh segmentace výrobní sítě, přístupů a identit.
OtevřítOvěříme, že oddělení výroby opravdu drží.
OtevřítNepřetržitá detekce a podklady pro hlášení v zákonných lhůtách.
OtevřítDohled a doklady pro audit bez platby za gigabajt dat.
OtevřítPřímé odpovědi na to, na co se nás ptáte nejčastěji.
Ano, pokud je firma středním nebo velkým podnikem, tedy má aspoň 50 zaměstnanců, nebo roční obrat i bilanční sumu zároveň nad 10 mil. EUR. Výroba strojů a zařízení (CZ-NACE 28) je podle přílohy vyhlášky 408/2025 Sb. v režimu nižších povinností. Firma ohlásí službu přes portál NÚKIB do 60 dní od splnění kritérií a od doručení rozhodnutí o registraci má rok na zavedení 13 opatření podle vyhlášky 410/2025 Sb.
Ne. Z výroby zákon reguluje výrobu elektroniky, elektrických zařízení, strojů, motorových vozidel a dílů a ostatních dopravních prostředků (CZ-NACE 26 až 30), dále průmyslovou výrobu potravin, chemické látky podle REACH, léčiva a zdravotnické prostředky. Kovovýroba, zpracování plastů nebo výroba nábytku mezi regulovanými službami nejsou, pokud firma neposkytuje jinou službu z přílohy vyhlášky 408/2025 Sb.
Sériová výroba osobních automobilů je v režimu vyšších povinností. Ostatní výroba v oddílu CZ-NACE 29, tedy nákladní vozidla, autobusy, přívěsy, návěsy a díly pro automobilky, je u středních a velkých podniků v režimu nižších povinností. Výroba a distribuce chemických látek podle REACH je v nižším režimu. Provozovatelé objektů podle zákona o prevenci závažných havárií, kteří jsou středním nebo velkým podnikem, patří se skupinou B do vyššího režimu a se skupinou A do nižšího. Platí pravidlo jedna organizace, jeden režim, takže jediná služba ve vyšším režimu posune do vyššího režimu celou organizaci.
Ano. Zákon se týká provozovatelů zařízení na nakládání s odpady, obchodníků, zprostředkovatelů a dopravců odpadů, pokud jsou středním nebo velkým podnikem a tato služba jim za poslední účetní období tvořila aspoň 5 % obratu. Sklad odpadů z vlastní činnosti provozovatele se nepočítá. Všechny tyto služby jsou v režimu nižších povinností, takže incidenty s významným dopadem hlásí Národnímu CERT a opatření zavádějí podle vyhlášky 410/2025 Sb.
Zákon nerozlišuje IT a OT, mluví o aktivech, na kterých regulovaná služba stojí. Vyhláška 410/2025 Sb. i v nižším režimu výslovně požaduje segmentaci sítě, omezení vzdálených připojení a zálohy konfigurací technických aktiv a režim vyšších povinností má pro průmyslová a řídicí aktiva samostatné opatření. Pokud výroba stojí na řídicích systémech, doporučujeme je zahrnout do soupisu aktiv, plánů obnovy i dohledu.
Pod zákon může spadat i tak, ale jen když její roční obrat i bilanční suma zároveň přesahují 10 mil. EUR; samotný obrat nestačí. Do výpočtu se započítávají partnerské a propojené podniky, typicky mateřská a sesterské společnosti, kromě těch, jejichž technická aktiva jsou zcela oddělená (§ 7 zákona). Zaměstnance počítáte v ročních pracovních jednotkách, zhruba jako plné úvazky, a změna velikosti se projeví až po dvou účetních obdobích po sobě.
V režimu nižších povinností Národnímu CERT, a to jen incidenty s významným dopadem: prvotní hlášení do 24 hodin od zjištění, oznámení do 72 hodin a závěrečnou zprávu do 30 dnů od oznámení. Výrobce v režimu vyšších povinností, například sériová výroba osobních automobilů, hlásí NÚKIB. Povinnost hlásit platí nejpozději rok od doručení rozhodnutí o registraci.
Údaje jsme ověřili 29. září 2026 přímo v zákoně, vyhláškách a u NÚKIB.
Tato stránka není právní poradenství. Zařazení své služby si ověřte v příloze vyhlášky 408/2025 Sb. nebo u NÚKIB.
Projdeme s vámi zařazení, lhůty a stav výrobní sítě a navrhneme plán, který se dá v roce stihnout.